HCNA第五章防火墙双机热备V2.0精编.pptxVIP

修订记录 课程编码 适用产品 产品版本 课程版本ISSUE HC110310005 USG V3R1 V2.0 开发/优化者 时间 审核人 开发类型（新开发/优化） 余雷 201305 姚传哲 新开发 本页不打印 第五章 防火墙双机热备技术 目标 学完本课程后，您将能够: 掌握双机热备技术原理 掌握双机热备基础配置 目录 双机热备技术原理 双机热备基本组网与配置 双机热备份技术产生的原因 传统的组网方式如图所示，内部用户和外部用户的交互报文全部通过Firewall A。如果Firewall A出现故障，内部网络中所有以Firewall A作为默认网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。 Firewall A 10.100.10.1/24 Internet PC 服务器 内部网络 10.100.10.0/24 双机热备在路由器上部署 路由器组网中通过VRRP协议实现双机热备份 VRRP在多区域防火墙组网中的应用 为防火墙上多个区域提供双机备份功能时，需要在每一台防火墙上配置多个VRRP备份组。 DMZ Trust Untrust USG A 10.100.20.0/24 Master USG B Backup 10.100.10.0/24 备份组1 Virtual IP Address 10.100.10.1 备份组2 Virtual IP Address 10.100.20.1 备份组3 Virtual IP Address 202.38.10.1 VRRP在防火墙应用中存在的缺陷 传统VRRP方式无法实现主、备用防火墙状态的一致性。 USG A Master USG B Backup Trust DMZ Untrust PC1 PC2 (1) (3) (4) (7) 会话表项 Server (5) (6) (8) 实际连线 报文流径 (9) VRRP用于防火墙多区域备份 为了保证所有VRRP备份组切换的一致性，在VRRP的基础上进行了扩展，推出了VGMP（VRRP Group Management Protocol）来弥补此局限。 DMZ Trust Untrust USG A 10.100.20.0/24 USG B 10.100.10.0/24 备份组 2 备份组 3 备份组 1 VGMP管理组 VGMP管理组 VGMP基本原理 VGMP状态(Master/Slave) VGMP HELLO VGMP priority 105 DMZ Trust Untrust USG A 10.100.20.0/24 USG B 10.100.10.0/24 备份组 2 备份组 3 备份组 1 VGMP Master VGMP Slaver VGMP priority 100 hello ack VGMP组管理 状态一致性管理 VGMP管理组控制所有的VRRP备份组统一切换。 抢占管理 当原来出现故障的主设备故障恢复时，其优先级也会恢复，此时可以重新将自己的状态抢占为主。 HRP基本概念 HRP（Huawei Redundancy Protocol）协议，用来将主防火墙关键配置和连接状态等数据向备防火墙上同步。 HRP会话快速备份 首包会话快速备份 更新报文会话快速备份 目录 双机热备技术原理 双机热备基本组网与配置 双机热备基本组网 上下行业务接口工作在三层模式，连接二层设备时，需要在上下行的业务接口上配置VRRP备份组，使VGMP管理组能够通过VRRP备份组监测三层业务接口。 USG_A Master USG_B Backup 备份组1 Virtual IP Address 10.100.10.1/24 G0/0/0 10.100.10.2/24 PC1:10.100.10.100/24 Untrust Trust G0/0/1 202.38.10.2/24 E2/0/0 10.0.0.1/24 E2/0/0 10.0.0.2/24 G0/0/0 10.100.10.3/24 G0/0/1 202.38.10.3/24 备份组2 Virtual IP Address 202.38.10.1/24 PC2:202.38.10.100/24 配置VRRP备份组 接口视图下配置VRRP： vrrp vrid virtual-router-ID virtual-ip virtual-address [ ip-mask | ip-mask-length ] { master | slave } 执行此命令时，指定master或slave参数后，即将该VRRP组加入了VGMP管理组的Master或Slave管理组。 每个普通物理接口（GigabitEthernet接口）下最多配置255个VRRP组。 HRP配置命令 指